AlmaLinux 9.6 [TuxCare] セキュリティ更新プログラム:go-toolset/golang/golang-bin/golang-docs/golang-misc/etcの複数の脆弱性(ALMALINUX9.6:CLSA-2025:1766138358)

medium Nessus プラグイン ID 351815

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.6 ホストには、TuxCare ALMALINUX9.6:CLSA-2025:1766138358アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- 解析機能は、IPv6 アドレス以外の値を URL のホストコンポーネント内の角括弧内に含めることを許可します。RFC 3986 では、IPv6 アドレスを角括弧で囲んだホストコンポーネント内に含めることが許可されています。例: http://[::1]/。IPv4 アドレスとホスト名は角括弧内に表示しないでください。Parse はこの要件を強制しませんでした。(CVE-2025-47912)

- タール。Reader は、GNU tar pax 1.0 スパースファイルにおけるスパース領域データブロック数に最大サイズを設定していません。多数のスパース領域を含む悪意をもって細工されたアーカイブにより、Reader が際限のない量のデータをアーカイブからメモリに読み込ませる可能性があります。圧縮されたソースから読み取る場合、小さな圧縮入力は大きな割り当てを引き起こす可能性があります。(CVE-2025-58183)

- 悪意を持って細工された DER ペイロードを解析すると、大量のメモリが割り当てられ、メモリ枯渇が発生する可能性があります。(CVE-2025-58185)

- ALPN ネゴシエーション中に Conn.Handshake が失敗すると、エラーには、エスケープされない攻撃者がコントロールする情報(クライアントから送信された ALPN プロトコル)が含まれます。(CVE-2025-58189)

- Reader.ReadResponse 関数は、行の文字列連結を繰り返すことで応答文字列を構築します。応答の行数が多い場合、過剰な CPU 消費を引き起こす可能性があります。
(CVE-2025-61724)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。